Citrix Systems Inc. , известный поставщик программного обеспечения для удаленного доступа, недавно подвергся критической уязвимости, известной как Citrix Bleed. По данным исследователей кибербезопасности и интернет-сообщений Citrix, уязвимость была обнаружена после того, как в течение нескольких недель ею пользовались поддерживаемые правительством хакеры и преступные группировки. Несмотря на то, что в прошлом месяце было выпущено исправление, хакеры продолжают использовать эту ошибку, ориентируясь в первую очередь на клиентов, которые еще не применили исправление.
Эрик Гольдштейн, исполнительный помощник директора по кибербезопасности Агентства США по кибербезопасности и безопасности инфраструктуры (CISA), сообщил, что многочисленные злоумышленники, в том числе национальные государственные группы и преступные организации, активно используют преимущества Citrix. Гольдштейн также подчеркнул, что эта уязвимость потенциально может привести к краже конфиденциальной информации и расширению доступа к сети.
LockBit, одна из самых известных хакерских группировок в мире, была идентифицирована как одна из преступных групп, эксплуатирующих ошибку Citrix Bleed. Центр обмена информацией и анализа финансовых услуг (FS-ISAC), глобальный консорциум по банковской безопасности, выпустил бюллетень по безопасности, предупреждающий финансовые учреждения о риске, связанном с этой уязвимостью. Кроме того, как сообщается, Казначейство США расследует, были ли уязвимости Citrix причиной недавней атаки программы-вымогателя на Промышленный и коммерческий банк Китая (ICBC).
Citrix впервые обнаружила ошибку Citrix Bleed 10 октября и незамедлительно выпустила исправление. Однако позже выяснилось, что многие клиенты Citrix были взломаны еще до выпуска патча. Исследователи кибербезопасности обнаружили доказательства атак, датируемых концом августа, что вызывает опасения, что эти вторжения могли быть осуществлены национальным государством в шпионских целях.
Несмотря на срочность установки исправлений и других рекомендуемых действий, тысячи компаний не смогли своевременно обновить свое программное обеспечение Citrix. Команда Unit 42 компании Palo Alto Network обнаружила, что было идентифицировано не менее 6000 уязвимых IP-адресов, при этом наибольшая концентрация устройств расположена в США, Германии, Китае и Великобритании.
LockBit, известная как своим названием банды, так и производителем программ-вымогателей, активно использует уязвимость Citrix. Исследователь безопасности Кевин Бомонт сообщил, что эксплуатация LockBit распространяется на множество жертв, включая юридическую фирму Allen & Overy, авиационного гиганта Boeing Co. и портовый оператор DP World Plc. В ответ на эти инциденты компания Citrix обновила свои рекомендации, рекомендуя не только устанавливать исправления, но и завершать все активные и постоянные сеансы.
Сообщество кибербезопасности предупреждает, что уязвимость Citrix Bleed считается «невероятно простой в использовании», что еще раз подчеркивает растущие угрозы в киберпространстве. Allen & Overy подтвердила взлом нескольких серверов хранения, но заявила, что основные системы остались незатронутыми. Boeing и DP World не подтвердили, использовалась ли уязвимость Citrix в их случаях.
Поскольку уязвимость Citrix Bleed продолжает использоваться, это вызывает обеспокоенность по поводу общей безопасности программного обеспечения для удаленного доступа и растущей изощренности хакеров, стремящихся использовать эти недостатки. Требуются срочные действия по исправлению затронутых систем и принятию необходимых мер безопасности для снижения рисков.